要点
発表された事実
- 株式会社セカンドリテイリングは2026年10月17日、10月15日（木）に社内システムで第三者による不正アクセスを受けたことを確認したと公表した（社内システムへの不正アクセスの発生について）。
- 二次被害を防ぐため、10月17日（土）21時から、セカンドストリートやゲオなどを含むアプリとWebサービスを停止し、システムメンテナンスを実施している。終了時期は未定（同、ゲオオンラインのメンテナンス案内）。
- 停止対象は、セカンドストリートアプリ・セカンドストリートオンライン・宅配買取・出張買取、ゲオアプリ・ゲオオンライン・ゲオオンラインストア・宅配レンタル・宅配買取、ゲオモバイルのオンラインストア、ゲオ買取ロッカー・コンビニ買取、2nd STORAGE など（同）。
- 店舗の営業時間に変更はない。外部のセキュリティ専門機関と連携して、原因究明と影響範囲の調査を進めている（同）。
- 【2026-10-19追記】セカンドリテイリングは10月19日、第2報で調査結果を報告した。データベースサーバーへの不審な外部接続や直接アクセスの形跡はなく、個人情報と機密情報の外部漏洩は確認されなかったとしている。一方、アプリとWebサービスはセキュリティ対策の強化のため停止を続けており、再開時期は未定（【第2報】社内システムへの不正アクセスに関する調査結果のご報告）。
- 【2026-11-03追記】セカンドリテイリングは11月2日18時更新の再開状況のお知らせで、10月29日にセカンドストリートとゲオの主なアプリ・Webサービスを再開し、11月2日にゲオあれこれレンタルを再開したと案内した。ゲオオンラインストア、宅配レンタル、ゲオモバイル UQ mobile オンラインストア、2nd STORAGE は再開時期未定。改めて、データベースサーバーへの不審な外部接続や直接アクセスの形跡はなく、個人情報と機密情報の外部漏洩は確認されていないとしている（再開状況のお知らせ（11月2日18時更新））。
- 【2026-11-07追記】11月4日13時30分更新の再開状況のお知らせで、11月4日にゲオの宅配レンタルとゲオモバイル UQ mobile オンラインストアを再開したと案内した。再開時期が未定なのは、ゲオオンラインストア、ゲオモバイルオンライン、2nd STORAGE（再開状況のお知らせ（11月4日13時30分更新））。
わかったこと
- 【2026-11-07】宅配レンタルとゲオモバイル UQ mobile オンラインストアは11月4日に再開した（再開状況のお知らせ（11月4日13時30分更新））。
- 【2026-11-03】サービス再開の時期：10月29日にセカンドストリートアプリ・オンライン、ゲオアプリ・ゲオオンライン、宅配買取、ゲオ買取ロッカー・コンビニ買取などを再開し、11月2日にゲオあれこれレンタルを再開した。ゲオオンラインストア、宅配レンタル、ゲオモバイル UQ mobile オンラインストア、2nd STORAGE は再開時期未定（再開状況のお知らせ（11月2日18時更新））。
- 【2026-10-19】個人情報の流出の有無：データベースサーバーへの不審な外部接続や直接アクセスの形跡はなく、個人情報と機密情報の外部漏洩は確認されなかった（第2報）。
わかっていないこと
- 不正アクセスを受けた「社内システム」が何か
- 侵入経路と原因（第2報でも示されていない）
- 15日の確認から17日夜の停止まで間が空いた理由
- サービス再開の時期（【2026-10-19追記】第2報でも未定。「順次再開に向けた準備を進めている」とした）（【2026-11-03追記】大半は10月29日に再開。ゲオオンラインストア、宅配レンタル、UQ mobile オンラインストア、2nd STORAGE は未定）（【2026-11-07追記】宅配レンタルとUQ mobile オンラインストアは11月4日に再開。ゲオオンラインストア、ゲオモバイルオンライン、2nd STORAGE は未定）
関係しそうな既知の手口
- （考察）発表は「社内システム」とだけ書いており、10月に相次いでいる会員向けアプリ・APIの悪用と同じ種類かはわからない。アプリ・Webをまとめて止める対応は、会員基盤や認証の仕組みが複数のサービスで共通になっている場合に取られやすい。
概要
- ゲオとセカンドストリートを運営するセカンドリテイリングが、10月15日に社内システムへの不正アクセスを確認し、17日夜からグループのアプリとWebサービスを一斉に止めた。
- 個人情報が流出したかどうか、侵入経路、再開時期は、いずれもまだ公表されていない。
- 店舗は営業しているが、アプリの会員証やクーポン、オンライン注文、宅配買取の手続きなどが使えなくなっている。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-10-15（木） | 社内システムで第三者による不正アクセスを受けたことを確認（セカンドリテイリング） |
| 2026-10-15（木） | 同じ日に、JVNが「ゲオアプリ」の脆弱性2件（CVE-2026-96614、CVE-2026-105271）を公開（JVN#40460777）。本件との関係は公表されていない |
| 2026-10-17（土） | 不正アクセスの発生を公表。21時からアプリとWebサービスを停止し、システムメンテナンスを開始（セカンドリテイリング、ゲオ） |
| 2026-10-19（月） | 第2報。データベースサーバーへの不審な外部接続や直接アクセスの形跡はなく、個人情報と機密情報の外部漏洩は確認されなかったと報告。アプリとWebサービスは停止を続け、再開時期は未定（セカンドリテイリング） |
| 10-29（木） | セカンドストリートアプリ・オンライン、ゲオアプリ・ゲオオンライン、宅配買取、ゲオモバイルの宅配買取、ゲオ買取ロッカー・コンビニ買取などを再開（再開状況のお知らせ（11月2日18時更新）） |
| 11-02（月） | ゲオあれこれレンタルを再開。ゲオオンラインストア、宅配レンタル、UQ mobile オンラインストア、2nd STORAGE は再開時期未定（同上） |
| 11-04（水） | 宅配レンタルとゲオモバイル UQ mobile オンラインストアを再開。ゲオオンラインストア、ゲオモバイルオンライン、2nd STORAGE は未定（再開状況のお知らせ（11月4日13時30分更新）） |
発表内容の整理
事実（セカンドリテイリング・ゲオの発表）
| 項目 | 内容 |
|---|---|
| 不正アクセスを受けたもの | 社内システム（詳細は非公表） |
| 確認日 | 2026年10月15日 |
| 停止したサービス | セカンドストリート：アプリ、オンライン、店舗取り寄せ、宅配買取、出張買取、アプリを使った店頭買取など／ゲオ：ゲオアプリ、ゲオオンライン、ゲオオンラインストア、ゲオあれこれレンタル、宅配レンタル、宅配買取、アプリを使った店頭買取など／ゲオモバイル：UQ mobile オンラインストア、モバイル宅配買取／その他：ゲオ買取ロッカー・コンビニ買取、2nd STORAGE |
| 停止期間 | 10月17日21時から終了時期未定 |
| 店舗 | 営業時間の変更なし。一部、アプリを使う買取などは利用できない場合がある |
| 個人情報 | 【2026-10-19更新】第2報で、データベースサーバーへの不審な外部接続や直接アクセスの形跡はなく、個人情報と機密情報の外部漏洩は確認されなかったと報告（第1報では流出の有無に触れていなかった） |
| 調査 | 外部のセキュリティ専門機関と連携して原因究明と影響範囲を調査中 |
事実（ゲオのメンテナンス案内に書かれた、停止中の扱い）
- ゲオアプリの会員証では各サービスを使えないため、店舗ではPontaカード（またはデジタルPonta）を会員証として提示する。アプリのクーポンは店舗スタッフに申し出れば使える。
- ゲーム商品の予約は店頭でのみ受け付ける。予約商品の購入時は予約者名義のPontaカードを提示する。
- ゲオオンラインストアは新規注文と注文キャンセルを停止。メンテナンス前の注文は発送される。
- 宅配買取は新規申し込み、取引状況・査定結果の確認、承認・返却手続き、買取代金の振込手続きを停止。申し込み済みの集荷は予定どおり行う。
- ゲオモバイルの格安SIMは新規申し込みを停止。
事実（報道）
- Game*Sparkは、ゲオにおける個人情報流出の有無や具体的な攻撃手法は現時点で公表されておらず、ほかの国内事案との関連性も明らかになっていないと伝えた（Game*Spark）。
考察
発表で目を引くのは、不正アクセスを確認した15日から、サービスを止めた17日21時まで2日以上空いている点だ。その間は「必要な対策を講じて」いたとあり、停止の理由は「二次被害を防ぐため」としている。確認時点で被害の広がりが見えず、調査を進めるなかで、アプリやWebを動かしたままでは危ないと判断した、という流れが考えられる（考察）。
止めたサービスの範囲が、ゲオとセカンドストリートの両ブランド、レンタル・買取・通販・格安SIMにまたがっているのも特徴だ。ブランドごとに別のシステムなら、全部を止める必要はない。アプリやWebの後ろで、会員情報や認証などの共通の仕組みを使っている可能性がある（考察）。
関係しそうな既知の手口
事実（既知の知見・同種事例）
- JPCERT/CCは10月15日、相次ぐ国内の不正アクセスに関連する攻撃元サーバーの調査で、攻撃者がAndroidアプリの配布ファイルを解析してAPIを特定し、悪用しようとしていた痕跡を確認したと公表した（JPCERT/CC Eyes）。
- JVNは10月15日、ゲオアプリ（Ver 11.8.6以前）に、Custom URL Schemeの処理のアクセス制限不備（CVE-2026-96614、アプリ内ブラウザで任意のサイトを開かされ、セッションIDを盗まれるおそれ）と、重要情報の平文保存（CVE-2026-105271、パスワードを盗まれるおそれ）があり、Ver 11.8.8で修正したと公表した（JVN#40460777）。
- 同じくゲーム・中古品の販売や買取を手がけるブックオフも、子会社の会員管理システムへの不正アクセスを公表している（記事）。
考察
- JVNのアプリ脆弱性が原因とは言えない：公開日が同じ10月15日なのは目を引くが、JVNの2件は、利用者に操作させる（UI:R）か、端末に物理的に触れる（AV:P）ことが前提の、利用者の端末側の問題だ。「社内システム」への不正アクセスをそのまま説明するものではない。関係は、会社が経路を公表するまでわからない。
- 「社内システム」という書き方の幅：会員向けアプリのサーバーを指すのか、業務用のネットワークを指すのかで、影響は大きく変わる。前者なら会員情報、後者ならランサムウェアのような業務停止型の被害も考えられる。現時点の発表からはどちらとも言えない。
利用者・運用者がいまできること
事実（発表に基づく）
- 店舗で会員証が必要なときは、ゲオアプリではなくPontaカード（またはデジタルPonta）を使う（ゲオのメンテナンス案内）。
- 問い合わせは、店舗ではなく所定の窓口へ（ゲオ・ゲオモバイル：geo-cs@geo-reply.com、セカンドストリート：2ndstreet-cs@geo-reply.com）（セカンドリテイリング）。
考察（利用者向け）
- 情報の流出は発表されていないが、ゲオやセカンドストリートを名乗る「再開のお知らせ」「パスワード再設定」などのメールやSMSが出回る可能性がある。リンクからではなく、公式サイトやアプリストアから確認する。
- ゲオアプリと同じパスワードを他のサービスで使っている場合は、念のため変えておく。
- ゲオアプリを使っている人は、JVNで公表された脆弱性の修正版（Ver 11.8.8以降）に更新しておく（サービス再開後）。
考察（運用者向け）
- 複数ブランドで会員基盤を共有している場合、1か所の侵害が全ブランドの停止につながる。共通基盤ほど、APIの呼び出し量や管理系の操作の監視を手厚くしておきたい。
- 侵害を確認してからサービスを止めるまでの判断基準（どんな兆候なら止めるか）を、事前に決めておくと初動が早くなる。
参考リンク
- セカンドリテイリング「当社グループWEBサイト・アプリの再開状況について（2026年11月4日（水）13時30分更新）」
- セカンドリテイリング「当社グループWEBサイト・アプリの再開状況について（2026年11月2日（月）18時00分更新）」
- 社内システムへの不正アクセスの発生について（セカンドリテイリング、2026-10-17）
- サーバメンテナンスに伴うサービスご提供停止のご案内（ゲオ、2026-10-17）
- JVN#40460777 スマートフォンアプリ「ゲオアプリ」における複数の脆弱性（2026-10-15）
- 相次ぐサイバー攻撃、ゲーム業界にも波及？「ゲオオンライン」で不正アクセス確認、新規注文停止など影響広がる（Game*Spark、2026-10-18）
- 連続不正アクセス事案の攻撃手法に関する調査（JPCERT/CC Eyes、2026-10-15）
- 【第2報】社内システムへの不正アクセスに関する調査結果のご報告（セカンドリテイリング、2026-10-19）